Comunicación para la continuidad operativa: mensajería por un canal independiente para la ciberresiliencia
Cómo diseñan, ponen en funcionamiento y prueban las organizaciones canales de comunicación independientes para mantener la continuidad operativa cuando los sistemas principales de correo electrónico, colaboración e identidad fallan o se ven comprometidos. Se abordan los requisitos de DORA, NIS2 y CER, la modelización de escenarios de incidentes, la arquitectura de implantación, los marcos de pruebas y las propiedades específicas de seguridad de las comunicaciones exigidas por la normativa de resiliencia.
Tosh Defence
Private Limited
Información del documento
Qué incluye
Temas tratados en este documento
Por qué fallan los canales de comunicación principales durante los ciberincidentes y qué significa realmente disponer de un canal independiente
Artículos 11-12 de DORA: requisitos específicos para mecanismos alternativos de comunicación mediante tecnologías de la información y la comunicación
Obligaciones de comunicación para la gestión de incidentes del artículo 21 de NIS2 aplicables a entidades esenciales e importantes
Modelización de escenarios de incidentes: secuestro de datos, compromiso de identidades, fallo de infraestructura y ataque a la cadena de suministro
Arquitectura de implementación: qué hace que un canal de comunicación sea realmente independiente de la infraestructura principal
Pruebas y simulacros: cómo comprobar la preparación de los canales de comunicación alternativos antes de que ocurra un incidente
Documentación: qué pruebas esperan los organismos reguladores y supervisores sobre la gobernanza de las comunicaciones para la continuidad operativa
Conclusiones principales
Qué aprenderá
Marco de cumplimiento de los artículos 11-12 de DORA
Requisitos de comunicación durante incidentes del artículo 21 de NIS2
Cobertura de escenarios de incidentes para los principales tipos de ciberataques
Marco de pruebas y documentación para aportar pruebas de cumplimiento normativo
Contexto de privacidad
Durante un incidente cibernético, la privacidad de las comunicaciones de respuesta es fundamental: los hallazgos forenses, los análisis de atribución, la estrategia jurídica y las comunicaciones de crisis al consejo de administración no deben circular por sistemas a los que pueda acceder el atacante. Este documento técnico aborda los requisitos de privacidad y confidencialidad de las comunicaciones durante un incidente.
Relevancia para la seguridad
Los requisitos de seguridad de las comunicaciones por un canal independiente van más allá del cifrado. La verdadera independencia respecto de la infraestructura principal requiere autenticación, alojamiento, conectividad y gestión de identidades separados. Este documento técnico define qué significa en la práctica una «independencia real».
Para su evaluación
El documento técnico abarca arquitecturas de implantación para organizaciones de distintos tamaños y perfiles de riesgo: desde Sanket.Work como canal alternativo en la nube ya implantado hasta Sanket.Enterprise para el máximo aislamiento en instituciones de importancia sistémica.
Preguntas sobre este documento
¿Qué hace que un canal de comunicación sea realmente independiente de los canales habituales?
Un canal verdaderamente independiente utiliza infraestructura de alojamiento separada, autenticación e identidad separadas, conectividad separada (no solo una aplicación distinta en la misma red) y dispositivos de usuario separados o, como mínimo, credenciales separadas. Este documento técnico define los requisitos de independencia que esperan los reguladores de DORA y NIS2.
¿Con qué frecuencia deben probarse los canales de comunicación independientes?
DORA exige someter a pruebas anuales los planes de continuidad de las tecnologías de la información y la comunicación. Este documento técnico recomienda simulacros de comunicación trimestrales para las organizaciones de sectores críticos y conservar los resultados documentados para su examen por las autoridades supervisoras.
Documentos relacionados
Continúe su investigación
Obtener este documento
Descargar para su evaluación
Solicite el PDF completo para su evaluación de seguridad, análisis de opciones de compra o equipo de cumplimiento normativo. Gratuito y sin mensajes no solicitados.